CVE-2013-0156
Açıklama
Ruby on Rails'in 2.3.15 öncesi, 3.0.19 öncesi 3.0.x, 3.1.10 öncesi 3.1.x ve 3.2.11 öncesi 3.2.x sürümlerindeki active_support/core_ext/hash/conversions.rb dosyası, dize değerlerinin dönüştürülmesini uygun şekilde kısıtlamamaktadır; bu durum, uzaktaki saldırganların Action Pack'in (1) YAML türü dönüştürme veya (2) Symbol türü dönüştürme desteğinden yararlanarak nesne enjeksiyonu saldırıları gerçekleştirmesine, rastgele kod çalıştırmasına veya iç içe geçmiş XML varlık referanslarını kullanarak hizmet reddine (bellek ve CPU tüketimi) neden olmasına olanak tanır.
Nasıl düzeltilir
- rubyonrails rails3.2.11 ya da sonraki bir sürüm
- rubyonrails ruby_on_rails2.3.15, 3.0.19, 3.1.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rubyonrails rails | 3.2.0 ≤ v < 3.2.11 | 3.2.11 |
| rubyonrails ruby_on_rails | v < 2.3.15, 3.0.0 ≤ v < 3.0.19, 3.1.0 ≤ v < 3.1.10 | 2.3.15, 3.0.19, 3.1.10 |
| debian debian_linux | 6.0, 7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.